Tandoor Recipes: Autorisierungsumgehung in der Step-API legt private Rezepte offen
Zusammenfassung
Tandoor Recipes ist eine selbst gehostete Anwendung zur Verwaltung von Rezepten, Essensplänen und Einkaufslisten. Die Endpunkte der Step- und Ingredient-API prüfen nur die Space-Zugehörigkeit und nicht die Eigentümer- oder Freigaberegeln privater Rezepte. Ein authentifizierter Benutzer mit Lese- und Schreibzugriff auf die API kann daher die Anleitung eines privaten Rezepts eines anderen Mitglieds desselben Space lesen und unbemerkt verändern. Zugriffe über Space-Grenzen hinweg sind nicht betroffen.
Betroffen
- Tandoor Recipes Versionen vor 2.6.12
- Die Herstellerwarnung nennt als betroffene Versionen bis 2.6.11; ein Drittanbieter-Eintrag nennt 2.6.0 bis 2.6.12 (Widerspruch, Herstellerangaben haben Vorrang)
Behoben in
- Behoben in Tandoor Recipes 2.6.12 (laut GitHub veröffentlicht am 30. Juni 2026)
- Neuere Versionen sind verfügbar; vor dem Upgrade die aktuelle Release-Linie prüfen
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Space-Mitgliedschaften auf vertrauenswürdige Benutzer beschränken.
- API-Token auf reinen Lesezugriff beschränken, sofern kein Schreibzugriff benötigt wird.
- Die Instanz bis zum Upgrade nicht über das öffentliche Internet erreichbar machen.
Ausnutzung
- Der Angreifer benötigt ein gültiges Konto im selben Space wie das Opfer.
- Der Hersteller meldet keine Ausnutzung in freier Wildbahn; die CISA-SSVC-Bewertung enthält einen PoC-Status.
- Der Status eines öffentlichen PoC ist widersprüchlich und ungeklärt.
- Laut einer Drittquelle nicht im CISA-KEV-Katalog (nicht verifiziert).
Unsere Empfehlung
- Alle Tandoor-Recipes-Instanzen identifizieren.
- Mindestens auf Version 2.6.12 aktualisieren, vorzugsweise auf die aktuelle Release-Linie nach Prüfung des Changelogs.
- Space-Mitgliedschaften und API-Token überprüfen.
- Prüfen, ob die Instanzen aus dem Internet erreichbar sind.
- Die Herstellerwarnung auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-wjf3-fq5w-7j7w github.com
- Tandoor Recipes Release 2.6.12 github.com
- Fix commit 3c5678f github.com
- Mend record CVE-2026-61726 vulners.com
- Strix CVE record www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:52.
Referenzen der NVD (4)
- https://github.com/TandoorRecipes/recipes/commit/3c5678f663e62e6ddf3d7df0b2bcc89ce2f52def
- https://github.com/TandoorRecipes/recipes/releases/tag/2.6.12
- https://github.com/TandoorRecipes/recipes/security/advisories/GHSA-wjf3-fq5w-7j7w
- https://github.com/TandoorRecipes/recipes/security/advisories/GHSA-wjf3-fq5w-7j7w
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.